Veeam Backup & Replication'da giriş yapmamış bir saldırganın yetki kontrolünü atlatmasına izin veren kritik açık kapatıldı

Veeam, 27 Ekim’de yayımladığı KB4948 numaralı bildirimde Backup & Replication’daki CVE-2026-108142’nin kapatıldığını duyurdu. Bildirime göre açık, giriş yapmamış bir saldırganın CDP Coordinator Service’te yetki kontrolünü atlatmasına izin veriyor. Veeam açığı kritik olarak sınıflandırıyor, CVSS 4.0 puanı 9.1. Açık, Windows tabanlı Backup & Replication kurulumlarını ve Veeam Software Appliance’ı etkiliyor. 12.x gibi eski sürümler etkilenmiyor.

Backup & Replication’daki diğer açıklar

Aynı bildirimde iki orta önemde açık (CVE-2026-108140 ve CVE-2026-108141) da kapatıldı. Bu açıklar, Restore Operator rolündeki ve yedeklenen bir NAS paylaşımının içeriğini kontrol eden bir kullanıcının yedekleme sunucusunda istediği yola dosya yazmasına izin veriyor. Bildirimdeki dördüncü açık (CVE-2026-105477), Backup & Replication tarafından yönetilen Veeam Agent for Linux kurulumlarında yerel yetki yükseltmeye izin veriyor.

Backup for Microsoft 365 ve Veeam ONE

KB4957 numaralı bildirime göre Backup for Microsoft 365’teki en ciddi açık, CVSS 4.0 puanı 9.0 olan CVE-2026-106076. Açık, kuruluş aktarımında (organization transfer) karşı taraf olan ve kimliği doğrulanmış bir saldırganın, kaynak sunucunun yapılandırma veritabanına SQL komutu enjekte etmesine izin veriyor. Bu yolla farklı kiracılara ait yapılandırma verileri okunup değiştirilebiliyor ve PostgreSQL hizmet hesabının yetkisiyle kod çalıştırılabiliyor.

Aynı bildirimde, yönetici rolündeki bir kullanıcının sunucudaki dosyaları LocalSystem yetkisiyle okumasına izin veren CVE-2026-106077, giriş yapmamış bir saldırganın sahte bir federasyon belirteciyle REST API kimlik doğrulamasını atlatıp yedekleme hizmetini çağırmayan uç noktalardan yanıt almasına izin veren CVE-2026-106078 ve kurulum sırasında yetki yükseltmeye yol açabilen CVE-2025-64394 de kapatıldı. Veeam, desteklenmeyen sürümlerin test edilmediğini ama büyük olasılıkla etkilendiğini belirtiyor.

Veeam ayrıca Veeam ONE’da, CVE kaydına göre geçerli yönetici bilgilerine sahip bir saldırganın çok faktörlü kimlik doğrulamayı atlatmasına izin veren CVE-2026-107671’i kapattı. SecurityWeek’e göre Veeam toplam dokuz açığı düzeltti ve açıkların saldırılarda kullanıldığından söz etmiyor.

Etkilenen ve düzeltilmiş sürümler

• Veeam Backup & Replication: 13.1.1.18 ve önceki 13.1 sürümleri ile 13.0.2.29 ve önceki 13.0 sürümleri etkileniyor. Düzeltilmiş sürümler 13.1.2 (13.1.2.57) ve 13.0.3 (13.0.3.63).
• Veeam Agent for Linux: 13.1.1.4 ve önceki 13.1 sürümleri etkileniyor, düzeltilmiş sürüm 13.1.2 (13.1.2.11).
• Veeam Backup for Microsoft 365: CVE-2026-106076 ve CVE-2026-106077, 8.6 (8.6.0.1102) sürümüyle, CVE-2026-106078 ve CVE-2025-64394 ise 8.6 Patch 1 (8.6.0.5011) ile kapatıldı.

Önerilen önlemler

Veeam ürünlerini yukarıdaki düzeltilmiş sürümlere ya da daha yenilerine güncelleyin. Backup for Microsoft 365’te bütün açıkların kapanması için 8.6 Patch 1 gerekiyor. Veeam’in bildirimlerinde geçici bir önlem yer almıyor. Veeam bildirimlerinde, bir açık ve yaması duyurulduktan sonra saldırganların yamayı tersine mühendislikle inceleyerek güncellenmemiş kurulumları istismar etmeye çalışabileceğini hatırlatıyor.